Není to online.mbank.cz, ale jiný jejich server. Stačí ale, aby ten jiný HTTPS server používal náhodou stejné certifikáty jako ten pro internetbanking a můžete napadat komunikaci klientů s internetbankingem.
Snaha o přehánění tam do jisté míry bude, ale opatrnosti není nikdy dost. Podle mého názoru by pod doménou banky neměl být ani jeden zranitelný server.